１引言
网络处理器（ＮｅｔｗｏｒｋＰｒｏｃｅｓｓｏｒ，ＮＰ）是一种专门针对网络应用设计的可编程器件，兼具了通用处理器的灵活性以及ＡＳＩＣ的高性能等特点，目前已广泛应用于互联网中．根据网络设备的需求不同，网络处理器可以应用于核心层、边缘层和接入层［１］．其中应用于接入层的网络处理器主要面向终端设备，随着终端设备种类和通信量的急剧增长，对网络处理器的安全处理性能提出了更高的要求．根据国际工程任务组（ＩＥＴＦ）制定的标准，目前主要通过ＩＰＳｅｃ、ＳＳＬ等协议保证网络数据的安全．这两种协议都包括大量计算密集型的密码算法，而传统的网络处理器大多通过软件的方式实现安全协议，给终端设备带来了较大的计算负担和网络延时．针对这一问题，近年来提出了一些网络安全处理器的设计方案［２－４］，但是大多都采用同一设计思路，在很多方面还有较大的开发空间．本文从总线结构、存储结构等多个方面对网络安全处理器进行研究，提出了一种新的体系结构．
２网络处理器体系结构设计
２．１总线结构
片上通讯架构是处理器体系结构设计的关键，决定了网络安全处理器各功能模块之间的通信方式．根据处理任务类型的不同，网络处理器可以划分为控制平面（Ｃｏｎｔｒｏｌ－ｐｌａｎｅ）和数据平面（Ｄａｔａ－ｐｌａｎｅ）［１］，不同平面上的功能模块对通信的需求不同，总线设计既要能满足所有模块的要求，又要节省片上资源．数据平面为控制平面通信特点如表１所示．从表１可以看出，控制平面位于网络处理器的顶层，需要对所有功能模块进行控制，但是对通信速度要求较低，而且数据路径简单，本文使用ＡＨＢ总线实现控制平面传输．相比于控制平面，数据平面位于系统的底层，实时性高，对通信速度的要求高，而且数据路径复杂，容易成为总线通信瓶颈．多数网络处理器采用多个处理单元（ＰｒｏｃｅｓｓｉｎｇＥｌｅｍｅｎｔｓ，ＰＥ）并行处理［５］或串行流水［６］的方式解决这一瓶颈，但仍存在编程模型复杂、资源利用率低等问题．针对这一问题，本文将宏流水的思想引入到总线设计中，将网络处理器的数据流传输路径分为接收级、处理级、发送级，使用高速ＡＸＩ总线实现网络数据流水化处理．本文使用处理单元的平均工作频率大约为２００ＭＨｚ，假设处理１个数据包需要５００个时钟周期，则要完成全双工数据包处理，处理器每秒钟可以处理的数据包个数为２００ＭＩＰＳ÷５００Ｉｎｓｔ／Ｐａｃｋｅｔ÷２＝０．２ＭＰＰＳ．式中，ＭＰＰＳ指ＭｉｌｌｉｏｎＰａｃｋｅｔｓＰｅｒＳｅｃｏｎｄ，数据包长度按平均长度１５０字节计算，则处理器的吞吐率为０．２ＭＰＰＳ×１５０ｂｙｔｅ×８ｂｉｔ／ｂｙｔｅ＝２４０Ｍｂ／ｓ．以太网ＭＡＣ的通信速度可达１０００Ｍｂ／ｓ，ＰＣＩＥ的通信速度最高为５Ｇｂ／ｓ，因此处理级流水段是整个流水线的瓶颈，本文通过设置多个处理单元，采用多核并行处理的方法消除宏流水线通信瓶颈，使总线通信速率达到最大．
２．２存储结构
目前网络处理器存储结构大多采用基于本地存储器或基于Ｃａｃｈｅ的存储结构［７］，能够较好地适应网络协议解析的处理特点．然而，网络安全处理器除了进行网络协议解析外，还需要对数据包进行加解密处理，属于深度处理应用，具有重复性差、无回溯等典型的流处理特点，使用上述存储机制会带来Ｃａｃｈｅｍｉｓｓ等问题，导致存储系统性能下降［８］．本文借鉴通用处理器存储体系结构，将面向流处理领域的流存储机制应用到网络安全处理器中，提出了基于流存储机制的层次化存储模型，如图２所示．根据上一节的分析，处理级采用多核并行处理技术，其中每个处理单元都有各自的私有存储，各处理单元间通过共享存储互连成“簇”（Ｃｌｕｓｔｅｒ），构成二级存储单元结构．处理单元可以通过硬连线的方式直接访问簇内共享数据存储器，增强了各处理单元之间的耦合程度，同时减少数据写回主存再读取的重用开销．簇内共享存储增强了存储体系的层次性，避免了频繁的片外存储访问，缓解了本地存储与片外存储之间的速度差距，提高了通信速度．流存储单元用于管理数据在处理单元与片外存储之间的传输．网络安全处理器的处理单元与片外存储之间的数据传输比较频繁，当数据段存放在片外存储器的不同区域时，通过流存储单元、软件调度等技术可以对传输数据流进行重新组织，实现批量数据传输．同时，当处理单元对数据包的某一段进行处理时，通过流存储单元可以实现对待处理数据的预取，避免了处理单元访问本地存储失效而需要再次访问片外存储的延时．流存储机制适应了深度处理应用特点，能够实现数据传输与运算执行、输入与输出等多种并行，提高了网络处理器处理单元的并行性开发．基于流存储的层次化存储模型对应的硬件结构如图３所示，主要由总线接口、流存储单元（Ｓｔｒｅａｍ，ＳＭ）、中央调度器（ＣｅｎｔｒａｌＳｃｈｅｄｕｌｅｒ，ＣＳ）、共享存储（ＳｈａｒｅｄＭｅｍｏｒｙ，ＳＭ）、网络安全处理单元（Ｎｅｔ－ｗｏｒｋＳｅｃｕｒｅＰｒｏｃｅｓｓｉｎｇＥｌｅｍｅｎｔ，ＮＳＰＥ）等部分组成．（１）ＡＸＩ总线接口多核网络安全处理单元既可以作为总线从设备又可以作为总线主设备使用．当作为从设备时，控制平面ＣＰＵ通过ＡＸＩ从接口完成对流存储控制器的寄存器配置、传输描述符输入、数据包输入／输出等工作．当作为主设备使用时，网络安全处理单元具有总线控制功能，流存储控制器可以通过ＡＸＩ总线主接口向总线发送传输控制信号，在获得总线使用权后可以向目的设备地址写入数据或从源设备地址读取数据，减轻了控制平面ＣＰＵ的负担，提高了总线使用率．（２）流存储单元流存储单元包括流存储控制器和流数据缓存．流存储控制器负责数据在处理单元内部存储和片外存储之间的传输，通过链表ＤＭＡ的方式完成数据传输，实现数据预取与ＤＭＡ传输相结合的优化策略．链式ＤＭＡ传输指将多组ＤＭＡ传输串连，每一个ＤＭＡ传输的目的地址和数据长度都可以不同，直到本次所有ＤＭＡ传输完成后向总线发出中断完成信号．流数据缓存是连接片外存储和处理单元本地存储的中间缓存，用来缓存处理单元输入／输出数据，匹配总线数据传输速率和处理单元处理速率，可以分为输入缓存ＦＩＦＯ和输出缓存ＦＩＦＯ，深度均设计为５１２×３２ｂｉｔ．（３）中央调度器中央调度器是整个流存储机制的控制核心，起着流存储控制、任务调度、协调系统中各单元正常工作的重要作用，完成流数据缓存部件与处理单元本地存储之间的数据调度．中央调度器由一个通用微码处理器构成，通过执行微代码实现对流存储单元的控制．（４）本地存储本地存储用于存储待处理数据和中间结果，供处理单元调用．和流数据缓存一样，本地存储使用ＦＩＦＯ缓存数据，为提高数据传输速率，网络安全处理单元的本地存储采用输入／输出相分离的结构，即本地存储分为输入缓存和输出缓存两部分，各为２５６×３２ｂｉｔ．（５）簇内共享存储簇内共享存储采用一个大小为４ＫＢ的共享数据ＲＡＭ．为提高访存速度，处理单元与共享存储之间采用硬连线的方式连接，处理单元对共享存储的访问需要２个时钟周期，仅比本地存储多１个时钟周期，与传统多级存储结构中的访存延时相比有了很大改善．为解决不同处理单元同时访问共享存储带来的访存冲突问题，同时出于硬件精简性和低功耗特性考虑，簇内共享存储采用固定优先级的方式以避免复杂的仲裁逻辑．（６）片外存储片外存储器负责接收／发送数据包、系统程序、配置信息等的存储，设备通过总线访问片外存储．通过在网络处理器中引入流存储机制，一方面通过数据预取减少了处理单元访问片外存储的延迟，另一方面通过链式ＤＭＡ传输，加快了数据传输速率，提高了总线利用率，更加符合网络安全处理器的需求．
２．３安全防护电路
网络安全处理器芯片属于安全芯片范畴，除了为通信数据进行安全保护外，其本身也要进行安全防护，本文设计以下安全防护电路实现这一目的．ＪＴＡＧ：通过ＪＴＡＧ模块可以实现对ＪＴＡＧ接口的管理，使普通用户无法通过该接口访问芯片内部信息，保护芯片安全．环境检测：用于对芯片电压、温度以及内部频率进行检测，当芯片内部工作环境超出正常范围时，该模块向ＣＰＵ发出中断请求．噪声源：用于产生对数据包加解密过程中需要的随机数，同时可以产生随机功耗．包含随机数检测机制，当随机数的品质不符合要求时产生中断请求．ＣＬＫＭ：时钟管理模块，通过配置寄存器可以关闭当前不需要的时钟，降低系统功耗．２．４整体结构网络安全处理器的整体结构如图４所示．ＡＸＩ１、ＡＸＩ２和ＡＸＩ３构成了网络安全处理器数据平面宏流水结构，接收级、处理级和发送级分别连接在三条高速ＡＸＩ总线上，ＡＸＩ４为存储访问总线，流水线各级设备均可以通过该总线访问ＳＲＡＭ２．ＡＨＢ总线为控制平面总线，该总线上只有一个主设备ＣＫ８１０ＣＰＵ，负责对所有设备进行配置和管理，Ｘ２Ｈ为总线桥，实现了ＡＸＩ总线设备与ＡＨＢ总线设备之间的通信．低速总线ＡＰＢ用于连接系统外围低速设备．ＮＳＰＥ是整个网络安全处理器的处理核心，采用实验室自主开发的处理引擎实现．ＮＳＰＥ采用ＶＬＩＷ指令架构，具有面向密码运算和网络协议解析进行优化的指令集，能够高速实现协议解析和数据包的加解密处理．ＭＡＣ控制器是系统的以太网接口部件，它在ＮＳＰＥ的控制下对外围ＰＨＹ接口进行控制，实现以太网数据包的接收／发送．ＰＣＩＥ控制器管理系统的ＰＣＩＥ总线接口，用于连接外部终端设备，实现了网络安全处理器与终端设备之间的高速通信．通过ＣＰＵ对ＰＣＩＥ控制器的寄存器进行配置可以实现对通信速度、工作模式等的控制．ＲＯＭ为只读存储器，用于存放系统引导程序，ＮａｎｄＦｌａｓｈ用于存放用户程序，系统上电后，ＣＰＵ从ＲＯＭ中读取指令执行，完成系统引导，然后直接跳转到用户程序区，将ＮａｎｄＦｌａｓｈ中存放的用户程序搬移到ＣＰＵ指令Ｃａｃｈｅ中执行．看门狗定时器ＷＤＴ可以检测系统程序运行状态，避免程序锁定．ＴＩＭＥＲ是一个计时器／定时器，可以为系统提供周期的定时中断．中断控制器ＩＮ－ＴＣ用于接收其他模块的中断信号，并将这些中断请求发送给ＣＰＵ．异步收发传输器ＵＡＲＴ可以实现串行通信与并行通信之间的传输转换．ＧＰＩＯ为通用可编程接口，可以通过软件配置成输入或输出．
３性能评估
本文使用Ｖｅｒｉｌｏｇ硬件描述语言对整个处理器系统进行实现，并采用６５ｎｍＣＭＯＳ工艺标准单元库，使用ＤｅｓｉｇｎＣｏｍｐｉｌｅｒ逻辑综合工具对系统进行综合，结果如表２所示．为了评估系统的整体性能，本文在仿真环境下对系统进行了功能验证和性能评估，选择若干初始输入长度从１ｋＢ到３２ｋＢ的数据负载，请求网络安全处理器进行密码算法及ＩＰＳｅｃ、ＳＳＬ协议处理，测试网络安全处理单元的整体吞吐率，并与文献［２］和文献［４］中的进行对比，结果如表３所示．从表中可以看出，高性能的体系结构设计、基于宏流水总线的数据传输路径，以及优化的存储结构使本系统在大多实验情况下优于同类网络安全处理器．
４结束语
本文提出了一种面向终端设备的高性能网络安全处理器体系结构，该处理器采用基于宏流水的数据传输通路，提高了总线通信速率．基于流存储机制的层次化存储结构更加适合网络安全处理特点，大幅提高了处理单元的并行处理能力．同时设计了安全防护电路，保证了整个系统的安全性．通过与同类处理器相比可以看出，本文设计的网络安全处理器具有较高的性能，可以应用于各种终端设备．
作者：朱宁龙 曲思源 戴紫彬 单位：解放军信息工程大学 密码工程学院
